Ханитокен.

Ханитокен — это артефакт-обманка, встроенный в реальные системы так, что любое его использование по замыслу является вредоносным или аномальным. Термин ввёл Augusto Paes de Barros в переписке в списке рассылки в феврале 2003 года с Lance Spitzner из Honeynet Project, расширив идею honeypot с целых систем до отдельных элементов данных. Примеры: подброшенные учётные записи пользователей, фиктивные строки базы данных, ключи доступа к облаку-приманки, документы с водяными знаками и DNS-записи, которые при разрешении отправляют маяк.

flowchart LR
  P[Разместить ханитокен<br/>в репо / шаре / БД] --> W[Ожидание: нет легитимного использования]
  W --> X((Злоумышленник<br/>находит и использует))
  X --> T[Использование вызывает<br/>высокоточное оповещение]
  T --> IR[IR: определить источник,<br/>оценить масштаб бреши]

Поскольку ханитокены инертны и к ним никогда не обращаются легитимные процессы, они дают почти нулевой уровень ложных срабатываний и высокоточный ранний сигнал о краже учётных данных, подготовке данных к выводу или внутреннем злоупотреблении. Практический приём — AWS canary-ключ: подброшенный IAM-ключ, использование которого фиксирует CloudTrail; Thinkst Canarytokens популяризировала бесплатные саморазмещаемые варианты (токены URL, документа и ключа AWS). Ханитокены расширяют видимость туда, где журналов мало, — сторонние SaaS, репозитории кода и резервные копии — и сопоставляются с защитными техниками Decoy в ATT&CK. Оговорки: токен должен быть правдоподобным, но никогда не достижимым штатными процессами, а сканеры утёкших учётных данных или небрежные CI-конвейеры могут его задеть, поэтому каждое оповещение всё же требует разбора с учётом места его размещения.